ГОСТ Р ИСО 28001-2019

ФЕДЕРАЛЬНОЕ АГЕНТСТВО.

ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ
НАЦИОНАЛЬНЫЙ ГОСТР
СТАНДАРТ
РОССИЙСКОЙ ИСО 28001—
ФЕДЕРАЦИИ 2019

Системы менеджмента
безопасности цепи поставок

НАИЛУЧШИЕ ПРАКТИКИ
ОСУЩЕСТВЛЕНИЯ БЕЗОПАСНОСТИ
ЦЕПИ ПОСТАВОК, ОЦЕНКИ
И ПЛАНОВ БЕЗОПАСНОСТИ

Требования и руководство по применению

(ISO 28001:2007, IDT)

Издание официальное

ГОСТР ИСО 28001—2019

Предисловие

1 ПОДГОТОВЛЕН Ассоциацией по сертификации «Русский Регистр» (Ассоциация Русский Ре-
гистр) на основе собственного перевода на русский язык англоязычной версии стандарта, указанного
в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 010 «Менеджмент риска»

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре-
гулированию и метрологии от 23 декабря 2019 г. № 1433-ст

4 Настоящий стандарт идентичен международному стандарту ИСО 28001:2007 «Системы ме-
неджмента безопасности цепи поставок. Наилучшие практики осуществления безопасности цепи по-
ставок, оценки и планов безопасности. Требования и руководство по применению» (ISO 28001:2007
«Security management systems for the supply chain — Best practices for implementing supply chain security,
assessments and plans — Requirements and guidance», IDT).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных между-
народных стандартов соответствующие им национальные стандарты, сведения о которых приведены в
‘дополнительном приложении ДА

5 ВЗАМЕН ГОСТР 53662—2009 {ИСО 28001:2006)

Правила применения настоящего стандарта установлены в статье 26 Федерального закона
от 29 июня 2015 2. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об из-
менениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего.
года) информационном указателе «Национальные стандарты», а официальный текст изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае
пересмотра (замены) ипи отмены настоящего стандарта соответствующее уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты». Соответствующая информация. уведомление и тексты размещаются также в ин-
формационной системе общего пользования — на официальном сайте Федерального агентства по
‘техническому регулированию и метрологии в сети Интернет (www.gost.ru)

©1SO, 2007 — Все права сохраняются
© Стандартинформ, оформление. 2020

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас-
пространен в качестве официального издания без разрешения Федерального агентства по техническо-
му регупированию и метрологии

ГОСТР ИСО 28001—2019

Содержание

1 Область применения _ .
2 Нормативные ссылки .
3 Термины и определения.
4 Основные положения. .
4.1 Заявление о применении .
4.2 Бизнес-партнеры . .
4.3 Международно признанные сертификаты или одобрения.
4.4 Бизнес-партнеры, освобожденные от предоставления декларации по безопасности .
4.5 Анализ безопасности бизнес-партнеров
5 Процесс безопасности цепи поставок. .
5.1 Общие положения
5.2 Идентификация области оценки безопасности.
5.3 Проведение оценки безопасности
5.4 Разработка плана обеспечения безопасности цепи поставок. . .
5.5 Выполнение плана обеспечения безопасности цепи поставок . -
5.6 Документация и мониторинг процесса обеспечения безопасности цепи поставок ..
5.7 Меры, которые необходимо проводить после инцидента в области безопасности. .
5.8 Защитные меры по обеспечению безопасности информации.
Приложение А (справочное) Процесс обеспечения безопасности цепи поставок .
Приложение В (справочное) Методология оценки риска в области безопасности

очччоо оли dd REDE S

й PSAPRSOEA WONTDMMAD 7552S 90s ces. nes Ss ee esis tee Saas ieees 15

Приложение С (справочное) Руководство по получению консультаций и сертификации..........- 21
Приложение ДА (справочное) Сведения о соответствии ссылочных международных

стандартов национальным стандартам ................---....-. 22

Библиография г: besa ровер в Бо ааа в аа desea seeds 23

ГОСТР ИСО 28001—2019

Введение

Инциденты, связанные с нарушением безопасности международных цепей поставок, представля-
ют собой угрозу международной торговле и экономическому росту государств, занятых в сфере торгов-
ли. Люди, грузы, инфраструктуры и оборудование, в том чиспе средства транспортировки. должны быть,
защищены от инцидентов, связанных с нарушением безопасности и их возможными разрушительными
последствиями. Такая защита выгодна как экономике государств, так и обществу в целом.

Международные цепи поставок являются весьма динамичными и объединяют множество органи-
заций и деловых партнеров. Настоящий стандарт признает всю сложность этой проблемы. Настоящий
стандарт разработан с учетом того, чтобы отдельные организации могли применять его требования с
учетом конкретной бизнес-модели своей организации, ее ролью и функцией в международной цепи по-
‘ставок.

Настоящий стандарт обеспечивает возможность установить и документировать разумный уро-
вень безопасности в рамках международных цепей поставок и их частей, что позволит организациям
принимать более взвешенные с точки зрения риска решения в отношении их безопасности.

Настоящий стандарт является мультимодальным и предназначен для того, чтобы наряду и в до-
полнение к рамочным стандартам Всемирной таможенной организации обеспечить безопасность и об-
легчить мировую торговлю (основное). Его назначение не сводится к тому, чтобы охватить, заменить,
или отменить отдельные программы таможенных организаций, касающиеся безопасности цепи поста-
вок и их требований по сертификации и валидации.

Использование настоящего стандарта должно способствовать установлению надлежащего уров-
ня безопасности организации в рамках той (Tex) части(ей) международной цепи поставок. которые
она контролирует. Настоящий стандарт является также основой для определения или подтверждения
‘уровня безопасности, существующего в рамках цепи(ей) поставок таких организаций, внутренними или
внешними аудиторами или теми государственными учреждениями, которые выбирают использование
такого соответствия настоящему стандарту и в качестве основы для принятия программ безопасности
в своих цепях поставок. Клиенты, деловые партнеры, правительственные и другие организации могут
обратиться с просьбой к организации, заявляющей о своем соответствии настоящему стандарту, прой-
ти аудит или проверку для подтверждения такого соответствия. Государственные учреждения могут
взаимно договориться о принятии оценок соответствия, выполненных другими правительственными
организациями. В случае необходимости проведения аудита третьей стороной организация должна
рассмотреть возможность привлечения стороннего органа по сертификации, аккредитованного компе-
тентным органом, являющимся членом Международного форума по аккредитации (см. приложение С).

В задачу настоящего стандарта не входит дублирование государственных требований и рамочных
стандартов безопасности цепи поставок Всемирной таможенной организации (ВТО). Организации, кото-
рые уже имеют сертификацию или валидацию взаимно признанными правительственными органами,
отвечают требованиям настоящего стандарта.

Выходными данными настоящего стандарта должны быть:

- Заявление об области распространения, которое определяет границы цепи поставок, охватыва-
емые планом обеспечения безопасности;

- Оценка безопасности, которая документирует уязвимость цепи поставок к определенным сце-
нариям угрозы безопасности. А также описывает последствия, которые целесообразно предвидеть по
каждому сценарию потенциальных угроз безопасности;

- План обеспечения безопасности, который описывает меры безопасности вместо управления
сценариями угроз безопасности, выявленных при оценке безопасности,

- Учебные программы, определяющие уровень подготовки сотрудников службы безопасности, от-
вечающего за безопасность, для выполнения своих служебных обязанностей.

Для проведения оценки безопасности, необходимой для подготовки плана обеспечения безопас-
ности, организация, использующая настоящий стандарт, должна идентифицировать предполагаемые
угрозы (сценарии угроз безопасности), определить вероятные действия людей по каждому из сценари-
ев угроз безопасности. выявленных при оценке ‘безопасности, при возникновении инцидента ‘безопас-
ности.

Такого рода определение проводится путем анализа текущего состояния безопасности цепи по-
ставок. Основываясь на выводах этого анализа выносится профессиональное заключение об уязвимо-
сти той или иной цепи по каждому из сценариев угрозы безопасности.

м